当遭受DDoS攻击时，需快速采取分层防御措施以最小化业务影响。以下是专业应对流程：
一、即时应急响应 1. 流量识别与分类 - 通过NetFlow/sFlow分析流量特征（源IP分布、协议类型、包大小） - 使用Wireshark/Tshark进行深度包检测，识别攻击向量（SYN Flood/HTTP GET/UDP反射等）
- 启用BCP38（RFC2827）源地址验证
- 在边界路由器部署ACL（示例）：
access-list 190 deny ip <攻击段> any
access-list 190 permit ip any any
- 与ISP联动实施远程触发黑洞（RTBH）
二、基础设施防护 1. 云防护方案 - AWS：启用Shield Advanced + WAF速率限制规则 - Azure：部署DDoS Protection Standard + 网络安全组(NSG)规则 - GCP：使用Cloud Armor自适应防护
- 部署Anycast网络分散流量 - 硬件设备配置建议： - F5 BIG-IP：启用AFM模块 - Arbor Peakflow：设置自适应阈值 - Radware DefensePro：配置行为分析策略
三、应用层加固
1. Web应用防护
- Nginx防护配置示例：
limit_req_zone $binary_remote_addr zone=antiddos:10m rate=100r/s;
location / {
limit_req zone=antiddos burst=200 nodelay;
}
- 部署DNSSEC验证 - 使用Cloudflare/GSLB实现DNS负载均衡
四、取证与溯源
1. 取证数据收集
- 全量捕获攻击流量（tcpdump示例）：
tcpdump -i eth0 -w attack.pcap -C 1000 -W 10
- 收集防火墙/IDS日志（建议保存至SIEM系统）
- 使用Spamhaus/Team Cymru进行IP信誉查询 - 通过TTL值分析攻击跳板（参考《DDoS攻击取证技术白皮书》）
五、事后加固方案 1. 架构优化 - 实施微服务熔断机制（Hystrix/Sentinel配置） - 部署CDN隐藏源站（推荐Akamai/Fastly）
- 部署Prometheus+Granfana监控体系，设置关键指标： - 带宽利用率 > 80% 自动告警 - 新建连接数突增500%触发预案
- 定期进行Red Team攻击模拟 - 测试自动伸缩组响应时间（AWS ASG冷却时间建议300s）
法律建议：立即向CERT报送攻击信息（参考《网络安全法》第25条），跨国攻击需通过IC3或Interpol报案。
推荐工具链： - 流量分析：Darktrace/ExtraHop - 压力测试：LOIC（防御测试用） - 可视化：Elastic Stack+Kibana
注：企业级防护应建立NOC/SOC协同机制，建议购买DDoS高防服务保底带宽（如阿里云300Gbps起）。金融等关键行业需考虑部署近源清洗节点。
